Güçlü şifreler hakkında | Entropi, parola cümleleri ve diceware

Entropi: denemeleri saymak

Şifre gücü bit cinsinden entropiyle ölçülür. N olasılık arasından rastgele seçilen bir şifre log2(N) bittir ve her ek bit saldırganın işini ikiye katlar. 94 yazdırılabilir karakterden oluşan rastgele 12 karakterlik bir şifre yaklaşık 79 bittir. İşin püf noktası rastgele kelimesindedir: bir yıl ve ünlem işareti eklenmiş bir isim gibi insanların seçtiği bir şifre, uzunluğunun düşündürdüğünden çok daha az bit içerir, çünkü saldırganlar önce bu kalıpları dener.

Diceware ve parola cümleleri

1995'te Arnold Reinhold diceware'i yayımladı: 7776 kelimelik bir listeden kelime seçmek için beş zar atın ve tekrarlayın. Her kelime yaklaşık 12,9 bit ekler, yani altı kelime yaklaşık 77 bit verir ve yazması kolay kalır. Electronic Frontier Foundation 2016'da geliştirilmiş kelime listeleri yayımladı ve bu oluşturucu onun büyük listesini kullanır. Fikir, correct horse battery staple ile hatırlaması zor ama zayıf Tr0ub4dor&3'ü karşılaştıran 2011 tarihli çizgi romanla ünlendi.

Yönergeler ne diyor

NIST Digital Identity Guidelines (SP 800-63B), bileşim kuralları yerine uzunluğu tercih eder: uzun şifrelere ve parola cümlelerine izin verin, yeni şifreleri sızdırılmış şifre listelerine karşı kontrol edin ve sebepsiz periyodik değişiklik zorlamayın. Zorunlu karmaşıklık kuralları çoğunlukla tahmin edilebilir kalıplara yol açar. Gerçek rastgelelikle birleşen uzunluk ve her site için farklı bir şifre çok daha önemlidir.

Saldırganlar ne kadar hızlı tahmin eder

Bir site ele geçirildiğinde saldırganlar çalınan özetlere karşı çevrimdışı tahminler dener. Hızlı özet işlevleri ve modern ekran kartlarıyla bu saniyede milyarlarca deneme olabilir; burada gösterilen kırılma süresinin varsayımı budur. bcrypt veya Argon2 gibi yavaş işlevler bu hızı çok düşürür, ama bir sitenin ne kullandığını bilemezsiniz. En az 70 ila 80 bit, benzersiz şifreler, bir şifre yöneticisi ve iki adımlı doğrulama hedefleyin.

Sık sorulan sorular

Bir şifre ne kadar uzun olmalı?

Harf, rakam ve sembol içeren rastgele bir şifre için 16 karakter veya daha fazlası 100 bitin üzerini verir. Parola cümlesi için en az 5 veya 6 rastgele kelime kullanın. Uzunluk, güç eklemenin en basit yoludur.

P@ssw0rd gibi değişiklikler güçlü mü?

Hayır. Saldırganlar yaygın değişiklikleri bilir ve otomatik olarak dener, bu yüzden çok az katkı sağlarlar. Bir şifreyi güçlü yapan gerçek rastgeleliktir.

Şifreleri düzenli olarak değiştirmeli miyim?

Güncel yönergeler, sızıntı gibi bir sebep olmadıkça hayır der. Sık zorunlu değişiklikler genellikle daha zayıf ve tahmin edilebilir şifreler üretir. Benzersiz şifreler kullanın ve sızmış olabilecek bir şifreyi değiştirin.

İlgili araçlar

Şifre oluşturucu

Ücretsiz şifre oluşturucu: crypto.getRandomValues ile güçlü rastgele şifreler ve parola cümleleri; uzunluk, karakter kümeleri, benzer karakterleri hariç tutma, toplu üretim, entropi, güç göstergesi ve kırılma süresi. Hiçbir şey kaydedilmez veya gönderilmez.